Súbory umiestni do adresára, kam nemá používateľ prístup (napr. môžeš zakázať čítanie z adresára pomocou htaccess).

Odkazy na stiahnutie budú smerovať na PHP skript, ktorý bude obsahovať niečo takéto:

if ($prihlaseny)
{
  header ("Content-Type: application/octet-stream");
  header ("Content-Disposition: attachment; filename=$meno_suboru;");
  readfile ($cesta_k_suboru);
}